Node.js中向SQL查询传递动态值时出现语法错误求助

错误原因 #

你直接把req.body.todos拼接到SQL语句里会导致多种问题：

• 如果req.body.todos是空值或未正确传递，SQL语句会变成INSERT INTO todo (todo) VALUES ()，这直接违反SQL语法规则，触发42601错误。
• 如果req.body.todos是字符串类型，未加引号的情况下SQL会将其视为无效标识符，同样引发语法错误。
• 这种写法还存在严重的SQL注入风险，恶意输入可能直接破坏数据库。

正确写法 #

使用参数化查询（预编译语句）是Node.js操作SQL数据库的标准安全做法，同时能彻底避免这类语法错误：

app.post("/message", async (req, res) => {
  // 用$1作为占位符，第二个参数传入值数组
  const result = await client.query(
    `INSERT INTO todo (todo) VALUES ($1) RETURNING *`,
    [req.body.todos]
  );
  // INSERT语句默认不返回数据，需加RETURNING *获取插入的记录
  return res.status(201).json(result.rows[0]);
});

关键点说明 #

• 用$n（n为数字，对应值数组的索引）作为动态值占位符，数据库会自动处理值的类型转义和引号包裹，避免语法错误。
• 若需要返回刚插入的数据，必须在INSERT语句后添加RETURNING *，插入结果会存放在result.rows中。

内容的提问来源于stack exchange，提问作者jj-ammar